Was sind SMB-Ports, Port 139 & Port 445?

Organisationen erhöhen die Nutzung verschiedener Lösungen, um Kommunikationsbedürfnisse in ihrer Infrastruktur zu adressieren. Da Dateisysteme ein integraler Bestandteil der Zusammenarbeit sind, wird dieser Artikel in eines der am weitesten verbreiteten Protokolle eintauchen, das für viele Systeme notwendig ist. Wir werden mehr über das SMB-Protokoll, Port 139, Port 445, dessen Funktionsweise, die damit verbundenen Risiken und Schritte zur Behebung lernen, um einen sichereren Kommunikationskanal zu bieten.

Was ist SMB-Port?

Der SMB (Server Message Block)-Port ist ein Netzwerkport, der hauptsächlich für die gemeinsame Nutzung von Dateien und Ressourcen in einem Computernetzwerk verwendet wird. SMB arbeitet über den TCP-Port 445 und ermöglicht den gemeinsamen Zugriff auf Dateien, Drucker und serielle Schnittstellen zwischen Geräten in einem Netzwerk.

Darüber hinaus ermöglicht seine Kernfunktion der Ressourcenteilung, dass SMB für folgende Anwendungsfälle genutzt werden kann:

• Einbeziehung von Mailslots (Interprozesskommunikationsmechanismen)
• Benannte Pipes (eine Methode zur Kommunikation von Prozessen entweder auf demselben Rechner oder über ein Netzwerk).

Was sind Port 139 und Port 445?

Damit das SMB-Protokoll korrekt funktioniert, sind Netzwerkports erforderlich, um mit anderen Systemen zu kommunizieren. SMB benötigt entweder Port 139 oder Port 445 als offenen Port.

Port 139

Ursprünglich lief SMB auf Port 139 als Anwendungsschichtprotokoll, damit Windows-Computer auf demselben Netzwerk miteinander kommunizieren konnten. Es wurde über NetBIOS über TCP/IP ausgeführt und wird in modernen Umgebungen von Port 445 übernommen.

Port 445

Port 445 wird von neueren Versionen von SMB verwendet, da Windows 2000 ihn für die direkte TCP/IP-Kommunikation übernommen hat. Im Allgemeinen wird er gegenüber Port 139 bevorzugt, da er auch die Kommunikation über verschiedene Netzwerke für Dinge wie internetbasiertes Filesharing ermöglicht.

Wie funktioniert das SMB-Protokoll?

Client-Server-Kommunikation

SMB ist als ein Response-Request-Protokoll bekannt. Es nutzt den Ansatz einer Client-Server-Beziehung, bei der der Client eine spezifische Anfrage stellt und der Server wie angefordert antwortet. Einige Beispiele für die praktische Nutzung heute sind Situationen, in denen Dateiressourcen angefordert werden oder Drucker gemeinsam genutzt werden müssen. SMB wird auch für andere Zwecke verwendet, wie Mailslots und Named-Pipe-Situationen.

Historische Entwicklung

Historisch gesehen stammt SMB von IBM und wurde 1983 für den DOS-Dateizugriff über Netzwerke entwickelt. Erst 1990 fusionierte Microsoft das SMB-Protokoll mit seinem LAN Manager-Produkt. Von dort aus entwickelte sich das SMB-Protokoll kontinuierlich weiter, was sich in Ereignissen wie der Einführung von CIFS sowie bedeutenden Verbesserungen in Effizienz, Leistung und Sicherheit zeigte, wie durch die oben genannten Upgrades von SMB 2 und SMB 3 beschrieben.

SMB-Protokolldialekte

Mit einer zunehmenden Präsenz von SMB-Implementierungen in der Industrie haben sich die Netzwerkanforderungen entwickelt, um unterschiedliche Anforderungen an SMB zu stellen. Dies führte zum Aufkommen verschiedener SMB-Protokolldialekte, um unterschiedlichen Umgebungen gerecht zu werden. Je nach Bedarf und Verwendung können verschiedene Dialekte für eine Vielzahl von Zwecken implementiert werden.

SMB-Dialektvarianten

Hier ist eine Liste beliebter SMB-Dialekte und deren Verwendungszwecke:

• CIFS (Common Internet File System): war ein von Microsoft entwickelter Dialekt, der erstmals in Windows 95 eingeführt wurde und für Netzwerkverbindungen über entfernte Server konzipiert war. Dieser Dialekt (CIFS Port) ermöglichte es Clients, sich mit entfernten Datei- und Druckerfreigaben zu verbinden, als ob sie lokal zugegriffen würden.
• Samba: Samba ist ein Open-Source-Dialekt (Samba-Port), der es Linux/Unix-Maschinen ermöglicht, mit Windows-Geräten zu kommunizieren.
• NQ: wurde von Visuality Systems entwickelt und bringt das SMB-Protokoll auf Nicht-Windows-Plattformen. Besonders verbreitet ist es in Geräten wie Druckern und Heim-network devices.
• Tuxera SMB und MoSMB: Dialekte wurden ebenfalls als proprietäre Methoden unter Verwendung des SMB-Protokolls für spezifische Funktionen wie Enterprise-Dateifreigabe und erweiterte Authentifizierung erstellt.

Sicherheitsrisiken im Zusammenhang mit offenen SMB-Ports

Ports, wie sie beim SMB-Protokoll verwendet werden, sind notwendig, um innerhalb und zwischen verschiedenen Netzen zu kommunizieren. Obwohl ihre Nutzung an sich nicht gefährlich ist, können offene Ports für bösartige Zwecke genutzt und ausgenutzt werden.

Das Vorhandensein von zu vielen offenen Ports kann zu folgenden Schwachstellen führen, wie zum Beispiel:

• Ein wurmfähiger Port
• Man-In-The-Middle-Angriffe,
• NetBIOS-Spoofing,

Fallstudie: WannaCry Ransomware:

Ein jüngstes Ereignis war der WannaCry Ransomware-Angriff, der Windows-Clients anvisierte, die eine veraltete Version von SMB verwendeten. Eine Wurm-Infektion wurde auf einem Zielgerät installiert, wobei die Dateien des Benutzers im Austausch für ein Lösegeld verschlüsselt wurden. Zusätzlich dazu begann das infizierte System auch, nach anderen Maschinen über das SMB v1-Protokoll zu suchen, und falls andere Systeme diese offenen Ports nutzten, wären sie anfällig für die Selbstinstallation der Ransomware auf diesem Gerät und würden deren Verbreitung fortsetzen.

Während WannaCry bei vielen Unternehmen und Netzwerken Chaos und Leid verursachte, hätten die verheerenden Auswirkungen deutlich geringer sein können, wenn die Systeme mit aktuellen Sicherheitsmaßnahmen gepatcht worden wären.

Best Practices zur Sicherung der SMB-Ports 139 und 445

Da SMB-Ports Ziel von Angriffen sein können, finden Sie hier einige bewährte Methoden zur Implementierung, um sich gegen verschiedene Angriffe zu schützen:

Aktivieren Sie die Firewall und den Endpoint Protection

Die Aktivierung dieser Netzwerksicherheitsgeräte kann diese Ports vor Bedrohungen schützen und auch Blacklisting-Dienste gegen bekannte bösartige IP-Adressen bereitstellen.

Nutzen Sie VPNs

Durch die Nutzung von VPNs kann der Netzwerkverkehr verschlüsselt und vor bösartigen Akteuren geschützt werden.

VLANs erstellen

Das Erstellen von Virtual LANs kann genutzt werden, um internen Datenverkehr zu isolieren und die Angriffsfläche zu begrenzen.

MAC-Adressfilterung implementieren:

Diese Filter können verhindern, dass unbekannte Systeme auf Ihr internes Netzwerk zugreifen und es infiltrieren.

Systemkonfigurationsänderungen implementieren

Folgende Änderungen können vorgenommen werden, um Ihre Sicherheit gegen SMB-Angriffe zu verstärken:

NetBIOS über TCP/IP deaktivieren

• Wählen Sie Start, zeigen Sie auf Einstellungen und wählen Sie dann Netzwerk- und DFÜ-Verbindung aus.
• Klicken Sie mit der rechten Maustaste auf Lokale Netzwerkverbindung und wählen Sie dann Eigenschaften.
• Wählen Sie Internetprotokoll (TCP/IP) und dann Eigenschaften aus.
• Wählen Sie Erweitert.
• Wählen Sie die Registerkarte WINS und dann Deaktivieren Sie NetBIOS über TCP/IP aus.

Befehle zur Überwachung des Portstatus

Um festzustellen, ob NetBIOS auf einem Windows-Computer aktiviert ist, führen Sie einen net config redirector oder net config server Befehl aus, um zu sehen, ob ein ‘NetBT_Tcpip’-Gerät an den Netzwerkadapter gebunden ist.

Fazit

Das SMB-Protokoll hat sich als wertvolle und unverzichtbare Methode zum Zugriff auf verschiedene Netzwerkressourcen erwiesen. Es hat zwar Dinge wie Dateifreigabe und Konnektivität ermöglicht, jedoch sollten Sicherheitsmaßnahmen ergriffen werden, um autorisierten Zugang innerhalb des Netzwerks zu gewährleisten. Das Sichern von Ports und das Aktualisieren von Protokollen sind nur ein paar Beispiele dafür, wie Sie Ihr Sicherheitsprofil im modernen Netzwerken verbessern können.

In Verbindung mit Netzwerksicherheit kann Netwrix Ihren Sicherheitsplan auf der Datenebene erfüllen. Mit Netwrix solutions können wir Ihrer Organisation dabei helfen zu sehen, wer Zugang zu Ihren Daten hat und welche Aktivitäten damit verbunden sind. Überwachung ist ein kritischer Teil der Angriffserkennung und des Schutzes vor Sicherheitsverletzungen.